修了試験 2019-12-08実施分 基本情報技術者試験 問37

解説

正解は2です。 ディレクトリトラバーサル攻撃は、ファイル名を指定する入力に「../」などのパス名を含め、公開を意図していないファイルを読み出す攻撃です。 Webアプリケーションへの代表的な攻撃を、手口で区別できるかが問われています。 【選択肢別解説】 1：× データベースへの命令文を入力し、意図しないSQL文を実行させるのは、SQLインジェクションです。 2：○ パス名を使ってファイルを指定し、意図していないファイルを閲覧するのは、ディレクトリトラバーサル攻撃です。 3：× HTML出力のエスケープ処理の欠陥を突き、利用者のブラウザでスクリプトを実行させるのは、クロスサイトスクリプティングです。 4：× セッションIDを不正に取得して利用者になりすますのは、セッションハイジャックです。 【ポイント】 ディレクトリトラバーサルの対策は、入力にパス名を含めさせないことと、ファイル名を固定のディレクトリ内に限定することです。